Inwentarz AI nie jest zdjęciem chwilowym tego, co dział IT zakupił. To bieżący przegląd tego, co w organizacji jest faktycznie używane do wykonywania pracy, niezależnie od tego, czy to użycie zostało zatwierdzone, zakupione, czy nawet czy jest znane działowi, który formalnie decyduje o oprogramowaniu. Kto chce zbudować inwentarz obejmujący tę różnicę, musi szukać na więcej miejscach, niż większość organizacji jest przyzwyczajona.
Lista zatwierdzonych aplikacji jest logicznym punktem wyjścia, ale obejmuje tylko to, co dotarło poprzez formalną procedurę. Funkcjonalność AI wchodzi również przez kanały, które nie są rozpoznawane jako „nowa aplikacja”: aktualizacja istniejącego oprogramowania, rozszerzenie do przeglądarki, funkcja włączona przez dostawcę bez osobnego powiadomienia. Dlaczego lista IT nie jest kompletna opisuje mechanizmy, przez które inwentarz oparty jedynie na tej liście jest z definicji niepełny. Nie znaczy to, że lista jest zbędna — znaczy to, że jest jednym źródłem wśród innych, nie jedynym.
Faktury, subskrypcje i liczby licencji opowiadają inną historię niż lista IT, ponieważ zakupy odbywają się często na poziomie działu i nie zawsze przechodzą przez centralną procedurę IT. Zespół, który zawiera subskrypcję na narzędzie z funkcją AI, rejestruje to w dziale zakupów lub finansów, nie zawsze w IT. Co zdradzają dane zakupowe i licencyjne pokazuje, jakie wzorce w tych danych wskazują na użycie AI, które nigdzie indziej jeszcze nie zostało zauważone: powtarzające się małe subskrypcje, nazewnictwo narzędzi, wzrost ruchu danych do określonych domen. Nie jest to zamiennik bezpośredniego zapytania, ale sposób, aby wiedzieć, gdzie to zapytanie najpierw skierować.
Ruch sieciowy, dzienniki DNS i zarządzanie dostępem mogą dawać wskazania, do jakich usług uzyskuje się dostęp ze sprzętu firmowego. Nie każdy sygnał jest równie wiarygodny: ruch do dostawcy AI może wskazywać na aktywne użycie, ale również na proces w tle, który nie ma nic wspólnego z codzienną pracą. Które sygnały IT są użyteczne omawia, które wskaźniki techniczne dają oparcie, a które generują zbyt duży szum, by służyć jako podstawa inwentarza. Wynikiem tych sygnałów jest lista przypuszczeń, nie potwierdzony przegląd — potwierdzenie pochodzi od ludzi, którzy wykonują pracę.
Żaden sygnał techniczny i żadna pozycja zakupowa nie powie, dlaczego ktoś używa narzędzia, do jakiego zadania i czy użycie jest incydentalne czy strukturalne. Ta informacja wychodzi na jaw tylko wtedy, gdy pracownicy są gotowi ją ujawnić. Nie dzieje się to samo z siebie: kto podejrzewa, że odpowiedź na pytanie „jakiej AI używasz” prowadzi do zakazu lub notatki, odpowiada wymijająco albo wcale. Jak zadać to pytanie pracownikom bez konsekwencji opisuje, jak zadać to pytanie w sposób, który zwiększa prawdopodobieństwo szczerej odpowiedzi. Ten element inwentarza często dostarcza największą część zastosowań, które nie są widoczne przez żadne inne źródło.
Inwentarz, który zbiera tylko nazwy narzędzi, nie jest użyteczny dla governance. Dla każdego zastosowania potrzeba więcej: kto używa narzędzia i do jakiego zadania, jaki typ danych jest do niego wprowadzany, czy wynik odgrywa rolę w decyzji dotyczącej klienta, pracownika lub strony trzeciej, oraz który dostawca za tym stoi. Co rejestrować dla każdego zastosowania podaje pola potrzebne, aby móc później sklasyfikować zastosowanie według roli i poziomu ryzyka, bez konieczności powtarzania inwentaryzacji, gdy ta klasyfikacja będzie wymagana.
W organizacji z wieloma lokalizacjami, jednostkami biznesowymi lub krajami sama inwentaryzacja staje się problemem koordynacyjnym: kto o to pyta, w jakiej kolejności, i jak wyniki są łączone bez tego, że działy zaczynają poprawiać lub wygładzać odpowiedzi innych. Jak zbudować inwentarz AI w organizacji z wieloma jednostkami zajmuje się tą skalą: gdzie koordynacja się zatrzymuje i jak wyniki różnych jednostek pozostają porównywalne.
Inwentarz, który został zbudowany, jest zdjęciem w danym momencie. Aby zachować jego użyteczność dla zarządu, CIO i risk managerów, musi być powtarzany i połączony z klasyfikacją, która odpowiada istniejącej strukturze ryzyka organizacji. Ten element — inwentaryzacja, klasyfikacja według roli i poziomu ryzyka oraz połączenie z governance — to nad czym pracuje Responsible AI Scan. Skan jest w budowie; kto jest tym zainteresowany, może zapisać się na listę oczekujących.
Inwentarz odpowiada na pytanie, jaka AI jest używana. Inne, uzupełniające pytanie brzmi, jaka część rzeczywistej pracy — zadanie po zadaniu — może zostać przejęta przez AI. Na to pytanie odpowiada skan pracy FTE TO AI, który dla każdego zadania obliczyć, jaką część pracy można przejąć.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.